SafePal, un fornitore di soluzioni wallet hardware e software per criptovalute che nel 2018 ha ricevuto un primo sostegno dal braccio di investimento di Binance, Binance Labs, ha confermato un incidente di sicurezza derivante da un difetto di autorizzazione in un plugin di tracciamento degli ordini. La vulnerabilità, situata in un plugin associato alle informazioni sugli ordini dei clienti, ha consentito, in determinate condizioni, un accesso esterno non autorizzato ai record degli ordini. Sono risultate coinvolte circa 39.798 persone che hanno effettuato ordini tra il 2 marzo 2025 e l'11 aprile 2026. Le vulnerabilità di autorizzazione di questo tipo, note complessivamente come broken access control (controllo degli accessi compromesso), occupano il primo posto nell'OWASP Top 10, la classifica dei rischi di sicurezza delle applicazioni web più citata del settore, dalla sua edizione del 2021.

Secondo la comunicazione dell'azienda, i dati esposti comprendono nomi, indirizzi email, indirizzi di spedizione, numeri di telefono e dettagli degli acquisti. SafePal ha sottolineato che le categorie di informazioni più sensibili non sono state coinvolte nella violazione: frasi seed, chiavi private, password dei wallet, numeri di carte di pagamento, dati dei conti bancari e numeri di documenti d'identità rilasciati da enti pubblici sono rimasti al sicuro. L'azienda ha inoltre dichiarato che non ci sono prove che l'incidente abbia compromesso l'accesso ai wallet SafePal o ai fondi dei clienti.

Tutte le persone interessate sono state informate singolarmente via email il 16 agosto dall'indirizzo security@safepal.com, con un oggetto che indicava che le informazioni sui loro ordini erano state coinvolte. SafePal ha inoltre pubblicato una pagina di verifica dedicata in cui i clienti possono confermare il proprio stato utilizzando un numero identificativo dell'ordine e il paese di spedizione. Pagine di verifica autonome di questo tipo costituiscono una misura anti-phishing standard nella risposta alle violazioni dei dati, perché le stesse email di notifica sono spesso imitate dai truffatori.

Dear community, While your SafePal wallet, seed phrase, and private keys are secure; we identified a flaw in the order-tracking plug-in that led to unauthorized access to information of a subset of customers. The issue has been fixed with additional security measures…

— SafePal – Crypto Wallet (@SafePal), August 16, 2026

Risposta dell'azienda e precauzioni consigliate

In seguito alla scoperta, SafePal ha corretto il difetto di autorizzazione e ha introdotto misure di sicurezza supplementari. Una società di sicurezza terza e indipendente è stata incaricata di convalidare la correzione e di effettuare una revisione completa della più ampia infrastruttura di elaborazione degli ordini. L'azienda ha inoltre contattato i partner logistici e di evasione degli ordini pertinenti per confermare che il problema non si fosse propagato ulteriormente nei loro sistemi.

Inoltre, il periodo di conservazione delle informazioni personali nell'ambiente interessato è stato ridotto a 90 giorni, fatte salve le normative applicabili, ed è stato istituito un canale di assistenza dedicato per garantire che i clienti interessati ricevano un supporto diretto e tracciato. SafePal ha dichiarato che i progressi su queste misure in corso saranno resi noti attraverso i canali ufficiali dell'azienda. Il limite di 90 giorni è coerente con il principio di limitazione della conservazione previsto da quadri di protezione dei dati come il Regolamento Generale sulla Protezione dei Dati dell'Unione Europea, che richiede che i dati personali non siano conservati oltre il necessario per le finalità previste. Per i lettori che seguono l'incidente, gli elementi aperti da monitorare sono i risultati della revisione indipendente e eventuali ulteriori rimozioni di contenuti di phishing, entrambi comunicati, secondo quanto dichiarato dall'azienda, tramite i suoi canali ufficiali.

L'azienda ha inoltre identificato e rimosso più di 30 siti web fraudolenti e link di phishing legati ad attività truffaldine, con un monitoraggio continuo delle minacce emergenti.

SafePal ha avvertito che i dettagli degli ordini esposti potrebbero essere sfruttati in campagne di ingegneria sociale mirate, tra cui offerte di rimborso fraudolente, richieste false di aggiornamento del firmware e imitazione del servizio clienti tramite telefonate, email, messaggi di testo, posta cartacea o consegne di hardware inattese che fanno riferimento a un acquisto SafePal.

Ai clienti si consiglia di prestare attenzione alle comunicazioni non richieste, di non cliccare su link né scansionare codici QR presenti in messaggi inattesi e di digitare manualmente l'indirizzo del sito web ufficiale (safepal.com) anziché seguire reindirizzamenti. SafePal ha ribadito che non richiede mai frasi seed, chiavi private o password attraverso alcun canale di comunicazione, in nessuna circostanza.

Gli utenti che potrebbero aver divulgato le credenziali del proprio wallet in risposta a comunicazioni sospette dovrebbero considerare il wallet interessato come compromesso, creare un nuovo wallet utilizzando un dispositivo o un'applicazione SafePal ufficiale, trasferire immediatamente gli asset e contattare l'azienda tramite il suo canale di assistenza ufficiale.

Fonte: Metaverse Post